CISMレビューマニュアルによると、脆弱性が明らかになった際に情報セキュリティ管理者が最初に行うべきことは、リスク評価を実施して、脆弱性が悪用される可能性と影響、そして適切な対応策を判断することです。パッチの更新、侵入テスト、影響評価などは、その後の手順として考えられますが、最初に行うべきことではありません。
参考文献 = CISMレビューマニュアル、第27版、第3章、セクション3.3.2、1331ページ。

説明／参考資料：
Explanation:
組織はまず、場当たり的なプロセスから反復可能なプロセスへと移行する必要があります。次に、プロセスを文書化し、プロセスの監視と測定を実施する必要があります。セキュリティレベルの基準設定は、主に制御の改善に焦点を当てているため、必ずしもプロセスの改善に役立つとは限りません。組織は、文書化の前、そして監視と測定の前に、プロセスを標準化する必要があります。

組織がインシデント対応機能をパブリック クラウド サービス プロバイダーと連携させる場合、情報セキュリティ マネージャーが最初に行うべきことは、プロバイダーのインシデント定義と通知基準を確認することです。これは、プロバイダーのインシデント定義と通知基準が組織独自のものと異なる場合があり、報告および処理する必要のあるインシデントの範囲、深刻度、緊急度に影響を与える可能性があるためです。プロバイダーのインシデント定義と通知基準を確認することで、情報セキュリティ マネージャーは、インシデントを構成するもの、分類方法、およびいつどのように伝達するかについて共通の理解と合意があることを確認できます。これにより、インシデント対応プロセスにおける混乱、遅延、または衝突を回避し、組織とプロバイダー間の明確な役割と責任を確立することができます。参照 = CISM レビュー マニュアル、第 16 版、1021 ページ プロバイダーのインシデント定義と通知基準を確認することは、組織のインシデント対応機能をパブリック クラウド サービス プロバイダーと連携させる際の最初の行動です。これは、組織がプロバイダーがインシデントをどのように定義・分類しているか、プロバイダーの役割と責任は何か、そしてインシデント発生時にプロバイダーが組織とどのように連絡を取るかを理解する必要があるためです。これにより、組織は自らのインシデント対応プロセスと期待値をプロバイダーのものと整合させ、連携のとれた効果的な対応を確保することができます。

侵入テストは、実際の攻撃をシミュレートすることで、脆弱性が対処され、残存する弱点がないことを確認するものです。
「侵入テストは、実施された対策が特定された脆弱性を効果的に軽減し、新たな脆弱性が生じていないことを保証するものです。」
- CISM レビュー マニュアル第 15 版、第 3 章: 情報セキュリティ プログラムの開発と管理、セクション: テストと評価* ISACA の実践データベースでは、脆弱性が解消されたことを検証するために侵入テストを一貫して推奨しています。